클라우드 문서를 공유할 때는 ‘링크를 아는 모든 사람’보다 지정한 계정만 열 수 있도록 설정하고, 업무에 필요한 읽기·댓글·편집 권한 중 가장 좁은 범위를 선택하세요. 링크에는 종료일을 기준으로 만료일을 두고, 수신자와 파일 이름을 별도 채널로 확인한 뒤 전송합니다. 프로젝트가 끝나거나 담당자가 바뀌면 공유 링크, 외부 계정과 동기화 기기의 권한을 함께 회수하고 변경 내역을 남기세요.
공유 버튼을 누르기 전에 파일과 수신자를 다시 맞춥니다
클라우드 문서 링크는 첨부파일보다 수정과 회수가 쉽지만, 잘못된 파일이나 수신자를 선택하면 최신 내용까지 계속 노출될 수 있습니다. 링크를 만들기 전 파일 이름, 문서 안의 개인정보·계약정보, 받는 사람의 회사와 이메일 주소를 확인하고 불필요한 시트·댓글·이전 버전은 공유 범위에서 제외하세요.
메일 자동완성이나 메신저 대화방 이름만 믿지 말고 계약서, 프로젝트 명단처럼 사전에 관리하는 정보와 수신자를 대조하세요. 민감한 문서라면 링크와 비밀번호를 같은 메시지에 보내지 말고, 조직이 승인한 별도 채널로 전달한 뒤 수신 여부를 확인합니다.
- 파일 이름과 문서 내부의 민감정보 확인
- 자동완성 주소를 프로젝트 명단과 대조
- 링크와 추가 인증정보는 승인된 별도 채널로 전달
공개 링크보다 지정 계정 공유를 우선합니다
로그인 없이 열리는 공개 링크는 전달과 검색 노출 여부를 통제하기 어렵습니다. 외부 협업이 필요해도 지정한 이메일 계정만 접근하도록 제한하고, 조직 계정 로그인을 요구할 수 있다면 그 설정을 우선 적용하세요. 누구나 접근할 수 있는 링크가 꼭 필요하다면 공개 이유, 책임자와 종료 시점을 기록합니다.
ISMS-P 인증기준 안내서는 정보시스템 접근권한을 업무 수행에 필요한 최소 범위로 부여하고 직무 변경이나 퇴직 시 변경·말소하도록 안내합니다. 같은 원칙을 공유 문서에도 적용해 열람이면 충분한 사람에게 편집 권한을 주지 않고, 다운로드·복사·재공유 제한 기능이 있다면 문서 민감도에 맞게 사용하세요.
- 가능하면 지정 계정과 로그인 기반으로 공유
- 열람·댓글·편집 중 필요한 최소 권한 선택
- 공개 링크 예외는 사유·책임자·종료일 기록
만료일과 소유자를 공유 시작 시점에 정합니다
임시 협업 링크가 기한 없이 남으면 담당자가 기억하지 못한 채 접근이 이어질 수 있습니다. 계약 만료일, 납품일 또는 검수 완료일을 기준으로 링크 만료일을 설정하고, 자동 만료 기능이 없다면 캘린더나 업무관리 도구에 회수 일정을 등록하세요.
문서를 만든 개인만 관리자가 되면 휴가나 퇴사 때 공유 현황을 파악하기 어렵습니다. 부서가 관리하는 저장 위치와 책임자를 정하고, 외부 공유를 승인한 사람, 대상, 권한, 시작일과 종료일을 최소 기록으로 남기면 정기 점검과 사고 확인에 도움이 됩니다.
- 계약·프로젝트 종료일에 맞춘 링크 만료
- 부서 관리 위치와 문서 책임자 지정
- 공유 대상·권한·승인자·기간 기록
프로젝트 종료 때 링크와 계정을 함께 회수합니다
프로젝트가 끝나면 링크만 삭제했다고 가정하지 말고 문서별 공유 대상, 외부 게스트 계정, 공유 폴더와 팀 공간 멤버를 함께 확인하세요. 담당자 변경·퇴직·계약 종료가 발생한 날에는 개인 문서뿐 아니라 상위 폴더에서 상속된 권한과 연결된 앱의 접근도 점검해야 합니다.
KISA의 중소기업 보안 가이드는 클라우드 환경의 권한·공개 설정과 보안 구성 점검 필요성을 설명합니다. 월별 또는 분기별로 외부 공유 목록을 내려받아 책임자가 없는 링크, 장기 미사용 계정, 과도한 편집 권한을 정리하고 변경 기록과 감사 로그가 남는지 확인하세요.
- 공유 링크·외부 계정·폴더 상속 권한 동시 점검
- 담당 변경과 계약 종료 당일 권한 회수
- 외부 공유 목록과 변경·감사 기록 정기 검토
잘못 공유했다면 먼저 접근을 차단하고 범위를 확인합니다
엉뚱한 사람에게 링크를 보냈거나 공개 설정을 발견하면 메시지를 지우는 데 그치지 말고 링크 비활성화, 외부 사용자 제거, 필요 시 새 링크 발급으로 접근부터 막으세요. 이어서 공유 시작 시각, 대상, 권한, 다운로드 가능 여부와 접속 기록을 보존하고 문서에 어떤 개인정보나 영업정보가 있었는지 확인합니다.
접속이나 다운로드 흔적이 없더라도 노출 가능성을 임의로 축소하지 마세요. 내부 개인정보보호·보안 담당자에게 즉시 알리고, 실제 개인정보 유출에 해당하는지는 관련 법령과 조직의 사고 대응 절차에 따라 판단합니다. 원본 로그를 지운 채 파일을 교체하면 조사에 필요한 시간과 범위를 놓칠 수 있습니다.
- 링크 비활성화와 외부 사용자 제거를 먼저 실행
- 공유·접속·다운로드 기록과 문서 내용 보존
- 개인정보 포함 여부를 담당자와 공식 절차로 판단
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 링크에 비밀번호를 걸면 누구나 접근하도록 해도 되나요?
비밀번호는 전달될 수 있고 접근자를 식별하기도 어렵습니다. 가능하면 지정 계정과 로그인 기반 공유를 사용하고, 비밀번호는 추가 보호 수단으로만 적용하세요.
Q. 외부 협업자에게 편집 권한을 줘야 할 때는 어떻게 하나요?
편집이 필요한 문서와 기간을 한정하고 원본과 분리된 작업본을 사용하세요. 변경 이력과 알림을 켜고 작업 종료 즉시 읽기 전환 또는 권한 회수를 확인하는 것이 좋습니다.
Q. 잘못 보낸 링크 메시지만 삭제하면 접근도 막히나요?
메시지 삭제와 링크 권한은 별개입니다. 저장소에서 링크를 비활성화하거나 해당 사용자를 제거하고, 접속·다운로드 기록과 포함된 정보의 범위를 확인하세요.
참고 출처 및 업데이트
KISA 보호나라, 중소기업 서비스 개발·운영 환경 주요 보안 취약 사례별 대응방안, 작성기관 한국인터넷진흥원, 작성자 침해예방단 기업보안점검팀, 작성일 2023-11-24, 수집일 2026-08-15ISMS-P 누리집, ISMS-P 인증기준 안내서(2023.11) 수정게시, 작성기관 한국인터넷진흥원, 작성자 관리자, 작성일 2023-11-23, 수집일 2026-08-15KISA 보호나라, 비대면 서비스 개발·운영 환경 주요 보안 취약 사례별 대응방안, 작성기관 한국인터넷진흥원, 작성자 사이버방역단 방역점검팀, 작성일 2022-08-01, 수집일 2026-08-15최초 작성 2026-08-15 · 최종 수정 2026-08-15
